Das Oberlandesgericht Braunschweig hatte in seinem Urteil vom 12. Juli 2024 (Az. 1 Ws 185/24) über eine moderne strafrechtliche Fragestellung zu entscheiden: Kann das Ausnutzen bereits bekannter Zugangsdaten – konkret eines Passworts – zum Abzweigen von Kryptowerten überhaupt als Diebstahl eingeordnet werden?
Der Entscheidung lag folgender Ablauf zugrunde: Der Angeklagte richtete im November 2023 für einen Bekannten eine digitale Wallet ein. Obwohl vereinbart war, dass nur der Geschädigte Zugriff erhalten sollte, behielt der Angeklagte das Passwort. Monate später nutzte er dieses Passwort, um rund 25 Millionen Coins im Gegenwert von etwa 2,5 Millionen Euro auf andere Wallets zu verschieben.
Zentral war damit die Frage, ob die bloße Verwendung eines Passworts, das dem Täter bereits bekannt ist, ein strafbares Überwinden einer Zugangssicherung darstellt. Nach den maßgeblichen Vorschriften – § 242 StGB zum Diebstahl und § 263a StGB zum Computerbetrug – setzt eine Strafbarkeit voraus, dass der Täter eine Schutzvorkehrung „überwindet“ oder sich auf unbefugte Weise Zugang verschafft. Das OLG kam in seiner Entscheidung zum Ergebnis, dass dies hier nicht der Fall sei.
Nach Auffassung des Gerichts lag keine Umgehung einer technischen Sperre vor, da der Angeklagte das Passwort selbst erstellt und daher von Beginn an gekannt hatte. Der Zugriff erfolgte somit nicht durch das Aufbrechen einer Sicherheitsbarriere, sondern schlicht durch den Gebrauch der ihm bekannten Daten. Strafrechtlich fehle es daher an einem schutzwürdigen Mechanismus, der verletzt worden sein könnte.
Hinzu kommt ein grundlegendes dogmatisches Problem: Der Diebstahlstatbestand verlangt das Wegnehmen einer „beweglichen Sache“. Kryptowährungen werden jedoch – so auch in der bisherigen Rechtsprechung – nicht als Sachen, sondern als digitale Daten eingestuft. Das OLG stellte klar, dass daher bereits der Gegenstand der Wegnahme nicht unter den Diebstahlstatbestand fällt. Damit zeigt sich eine strukturelle Lücke im strafrechtlichen Umgang mit digitalen Vermögenswerten, die über den Einzelfall hinausreicht.
Auch der Tatbestand des Computerbetruges nach § 263a StGB wurde verneint. Zwar hatte der Angeklagte das Passwort entgegen der Absprache benutzt, jedoch weder technische Schutzmaßnahmen außer Kraft gesetzt noch eine digitale Manipulation oder Täuschung vorgenommen. Ohne ein solches aktives Eingreifen in das System könne nach Ansicht des Gerichts keine Strafbarkeit nach § 263a StGB angenommen werden.
